@fastify/static vulnerável a travessia de caminho em listagem de diretório

A vulnerabilidade CVE-2026-6410 em @fastify/static afeta as versões 8.0.0 a 9.1.0. Permite a um atacante remoto não autenticado obter listagens de diretórios arbitrários acessíveis ao processo Node.js. Isso ocorre devido a uma falha na função dirList.path() que utiliza path.join() para resolver diretórios sem uma verificação de contenção adequada. Embora o conteúdo dos arquivos não seja revelado, a exposição de nomes de diretórios e arquivos pode ser usada para coletar informações confidenciais sobre a estrutura da aplicação e potencialmente facilitar outros ataques. A severidade CVSS é 5.3, indicando um risco moderado que requer atenção imediata.

Applications utilizing @fastify/static versions 8.0.0 through 9.1.0 with directory listing enabled are at risk. This includes Node.js applications serving static assets, particularly those deployed in production environments where security is paramount. Shared hosting environments using this plugin are also at increased risk due to the potential for cross-tenant exploitation.

• nodejs / server:

find / -name "@fastify/static" -exec grep -i 'dirList.path()' {} + | grep -i 'path.join()' 

• nodejs / server:

ps aux | grep -i '@fastify/static' | grep -i 'list: true'

• generic web: Use curl or wget to check for directory listing endpoints (e.g., /static/). A successful listing indicates potential exposure.

1. 2026-04-16Disclosure

   disclosure

1. Reservado2026-04-15
2. Publicada2026-04-16
3. Modificada2026-04-17
4. EPSS atualizado2026-04-24

A solução recomendada é atualizar a dependência @fastify/static para a versão 9.1.1 ou superior. Esta versão corrige a vulnerabilidade implementando uma verificação de contenção adequada dentro da função dirList.path(), evitando que diretórios fora do diretório raiz configurado sejam resolvidos. A atualização imediata é recomendada, especialmente em ambientes de produção. Alternativamente, desabilitar a opção 'list' em @fastify/static é uma mitigação temporária se a atualização imediata não for possível, embora isso limite a funcionalidade de listagem de diretórios.